証明書のファイル形式について

Kimura Taiji <taiji-k@is.aist-nara.ac.jp>
$Date: 2009-05-14 20:39:44+09 $

このメモでは、証明書のファイル形式と、それらのファイルを一般的な形式である PEM 形式に変換する方法を書きます。

PEM 形式

このファイルは PEM 形式にエンコードされたファイルで、以下のようなテキストのファイルです。
内容は X.509 であったり、PKCS#7 であったりします。
PEM 形式の X.509 のファイルは Apache (httpd) や OpenSSL で標準のファイル形式として使われています。すなわち -inform オプションなどを使って形式を指定する必要がありません。

CERTIFICATE と書かれている場合には内容は X.509 で、CERTIFICATE の部分に PKCS7 と書かれている場合には PKCS#7 です。
OpenSSL を使ってこの形式の証明書ファイルの情報を見るには以下のようにします。

X.509 の場合：
$ openssl x509 -in ファイル名 -text

PKCS#7 の場合：
$ openssl pkcs7 -in ファイル名 -text

DER 形式

このファイルは DER 形式でバイナリエンコーディングされたもので、内容は X.509 であったり PKCS#7 であったりします。
X.509 であるか PKCS#7 であるかは、OpenSSL コマンドを使って開いてみるとわかります。
```
実行例：
$ openssl pkcs7 -inform der -in ファイル名 -text
もしくは
$ openssl x509 -inform der -in ファイル名 -text
```
証明書の情報が表示されれば、指定したサブコマンド名（pkcs7 であれば PKCS#7、x509 であれば X.509）の形式のファイルであることがわかります。

PKCS#7 形式のファイルは、以下のようにして PEM 形式に変換することができます。
```
$ openssl crl2pkcs7 \
 -inform der \
 -in 変換元ファイル名 \
 -out 変換先ファイル名 \
 -nocrl
```

$ openssl x509 \
 -inform der \
 -in 変換元ファイル名 \
 -outform pem \
 -out 変換先ファイル名 \

※なお、OpenSSL は、PEM 形式の X.509 ファイルの"-----BEGIN CERTIFICATE-----"の前の文字列や"-----END CERTIFICATE-----"の後の文字列を無視して扱います。
httpd の設定ファイルや openssl の引数で指定するファイルの前後に文字列が入っていても、問題なく扱うことができます。

moCA WG, WIDE Project, Jul., 2002